Reglas de sudo y su revisión

Cada regla de sudoers dice cuatro cosas: quién (una cuenta, o un grupo si empieza por %), dónde (en qué máquinas), como quién (el usuario destino, entre paréntesis) y qué comandos. Por ejemplo, %dba ALL=(postgres) /usr/bin/psql dice que los miembros del grupo dba pueden ejecutar psql con los permisos del usuario postgres.

La parte entre paréntesis es la que más se pasa por alto. (root) y (ALL) son muy distintos de (postgres): el primero entrega todo el servidor; el segundo, solo lo que ese usuario de servicio puede.

La regla interna R2 dice que NOPASSWD solo se admite para tareas automáticas con un comando fijo. Una regla NOPASSWD con ALL a una persona hace que, con su sesión abierta, cualquiera que use su equipo (o su cuenta robada) ejecute lo que quiera como root sin que nada se le pregunte.

Abre reglas-internas.txt y sudoers.d.txt. Cada bloque de sudoers.d.txt indica el archivo del que viene.

Un comando permitido no siempre se limita a lo que su nombre sugiere. Los editores de texto y los paginadores permiten, desde dentro, lanzar otros programas. Si una regla los autoriza con permisos de root, quien los ejecuta puede salir de ellos con una consola de root: la regla permitía «editar un archivo» y en la práctica permite todo. Por eso R3 los prohíbe como comando.

Lee la columna de comandos de cada regla en sudoers.d.txt. Ayuda mirar reglas-internas.txt, pero la respuesta es el grupo, no la regla.

R1 dice que solo sudo-admin ejecuta cualquier comando como root. Para saber si se cumple hay que sumar todas las fuentes: el archivo principal, cada archivo de sudoers.d y la pertenencia a los grupos que aparecen. Una persona cuenta una sola vez aunque llegue por dos reglas, y root no se cuenta.

Combina sudoers.txt, sudoers.d.txt y grupos.txt.

Sudoers es un archivo cuya sintaxis, si se rompe, deja a todos sin sudo: nadie podría arreglarlo desde una cuenta normal. Por eso la herramienta visudo abre el archivo con un bloqueo contra ediciones simultáneas y comprueba la sintaxis antes de guardarlo. En una revisión, que una regla haya pasado por visudo no la hace correcta; solo garantiza que está bien escrita.